Mit der neuen Taxonomie ersetzt Google bei GTIG die bisher genutzten fortlaufenden Nummern und sonstigen, voneinander abweichenden Bezeichner durch zweigliedrige Namen. Das Unternehmen beschreibt den ersten Bestandteil als einzigartigen und gut merkbaren Begriff, der den jeweiligen Bedrohungsakteur repräsentieren soll. Wenn ein solcher Begriff aus öffentlichen Berichten nicht vorhanden ist, soll ein zufällig generierter Name verwendet werden.

Der zweite Bestandteil dient der Einordnung in eine feste Kategorie. Google nutzt dafür Begriffe, die nach eigener Darstellung Motivation, Zuschreibung oder Aktivitätstyp abbilden. Als Beispiele nennt der Konzern „Castle“ für Bedrohungsakteure aus China, „Ion“ für solche aus Iran, „Neptune“ für nordkoreanische Gruppen, „Relic“ für russische Akteure und „Comet“ für Gruppen aus dem Bereich Cyberkriminalität.

Ein konkretes Beispiel ist die russische Gruppe Sandworm. Google hatte sie bislang als „APT44“ verfolgt; nach dem neuen Schema wird daraus „Sandworm Relic“. In der Sicherheitsgemeinschaft wird dieselbe APT laut dem Unternehmen außerdem unter den Namen Blue Echidna, Electrum, FrozenBarents, G0034, Iridium, Iron Viking, Quedagh, Seashell Blizzard, TEMP.Noble, TeleBots, UAC-0082, UAC-0113 und Voodoo Bear geführt.

Google begründet die Umstellung mit der Vielzahl paralleler Benennungssysteme in der Branche. Das Unternehmen erklärt, es wolle das eigene Schema „so einfach wie möglich halten, um Abläufe zu straffen und die Zuordnung zu anderen Benennungstaxonomien zu erleichtern“. Ein zentrales Problem bleibe jedoch, dass jede Cybersicherheitsorganisation einen unterschiedlichen Einblick in die Bedrohungslage habe. Das verhindere in vielen Fällen direkte Vergleiche von Bedrohungsakteuren unter identischen Voraussetzungen.

Die Umstellung auf eine leichter nachvollziehbare und besser merkbare Konvention sei deshalb laut Google „ein praktischer Schritt, um ein hochkomplexes Problem bei der Nachverfolgung zu bewältigen“. Zum Start der neuen Taxonomie habe der Konzern bereits mehrere Dutzend der aktivsten Bedrohungsakteure umbenannt. Dieser Prozess werde fortlaufend weitergeführt.

Wichtig für bestehende Arbeitsabläufe: Frühere Bezeichnungen bleiben nach Angaben des Unternehmens in der Plattform Google Threat Intelligence (GTI) indexiert und durchsuchbar. Auch Zuordnungen zu MITRE ATT&CK sowie Aliasse anderer Anbieter sollen erhalten bleiben. Für nicht kategorisierte Cluster will Google weiterhin die Bezeichnung UNC verwenden.